搜索

[23036] 2014-09-01_如何为Linux系统中的SSH添加双重认证

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2014-09-01_如何为Linux系统中的SSH添加双重认证 如 何 为 L i n u x 系 统 中 的 S S H 添 加 双 重 认 证 L i n u x 中 国   2 0 1 4 - 0 9 - 0 1 近 来 很 多 知 名 企 业 都 出 现 了 密 码 泄 露 ， 业 内 对 多 重 认 证 的 呼 声 也 越 来 越 高 。 在 这 种 多 重 认 证 的 系 统 中 ， 用 户 需 要 通 过 两 种 不 同 的 认 证 程 序 ： 提 供 他 们 知 道 的 信 息 （ 如   用 户 名 / 密 码 ） ， 再 借 助 其 他 工 具 提 供 用 户 所 不 知 道 的 信 息 （ 如   用 手 机 生 成 的 一 次 性 密 码 ） 。 这 种 组 合 方 式 常 叫 做 双 因 子 认 证 或 者 两 阶 段 验 证 。 为 了 鼓 励 广 泛 采 用 双 因 子 认 证 的 方 式 ， G o o g l e 公 司 发 布 了 G o o g l e   A u t h e n t i c a t o r ， 一 款 开 源 的 ， 可 基 于 开 放 规 则 （ 如   H M A P / 基 于 时 间 ） 生 成 一 次 性 密 码 的 软 件 。 这 是 一 款 跨 平 台 软 件 ， 可 运 行 在 L i n u x ,   A n d r o i d ,   i O S 。 G o o g l e 公 司 同 时 也 支 持 插 件 式 鉴 别 模 块 P A M ( p l u g g a b l e   a u t h e n t i c a t i o n m o d u l e ) ， 使 其 能 和 其 他 也 适 用 P A M 进 行 验 证 的 工 具 （ 如 O p e n S S H ） 协 同 工 作 。 在 本 教 程 中 ， 我 们 将 叙 述 集 成 O p e n S S H 和 G o o g l e 提 供 的 认 证 器 实 现 如 何 为 如 何 为 S S H 服 务 设 置 双 因 子 认 证 服 务 设 置 双 因 子 认 证 。 我 将 使 用 一 款 A n d r o i d 设 备 来 生 成 一 次 性 密 码 ， 本 教 程 中 需 要 两 样 武 器 ： ( 1 ) 一 台 运 行 着 O p e n S S H 服 务 的 L i n u x 终 端 ， ( 2 ) 一 台 安 卓 设 备 。 在 L i n u x 系 统 中 安 装 G o o g l e   A u t h e n t i c a t o r
第 一 步 需 要 在 运 行 着 O p e n S S H 服 务 的 L i n u x 主 机 上 安 装 G o o g l e 认 证 器 。 按 照 如 下 步 骤 安 装 G o o g l e 认 证 器 及 其 P A M 模 块 。 用 安 装 包 安 装   G o o g l e   A u t h e n t i c a t o r 如 果 你 不 想 自 己 构 建   G o o g l e   A u t h e n t i c a t o r ， 在 几 个   L i n u x   发 行 版 上 有 已 经 编 译 好 的 安 装 包 。 安 装 包 里 面 包 含   G o o g l e   A u t h e n t i c a t o r   二 进 制 程 序 和   P A M   模 块 。 在   U b u n t u   上 安 装   G o o g l e   A u t h e n t i c a t o r ： $   s u d o   a p t - g e t   i n s t a l l   l i b p a m - g o o g l e - a u t h e n t i c a t o r 在   F e d o r a   上 安 装   G o o g l e   A u t h e n t i c a t o r ： $   s u d o   y u m   i n s t a l l   g o o g l e - a u t h e n t i c a t o r 在   C e n t O S   上 安 装   G o o g l e   A u t h e n t i c a t o r   ， 需 要 首 先 启 用   E P E L   软 件 库 ， 然 后 运 行 如 下 命 令 ： $   s u d o   y u m   i n s t a l l   g o o g l e - a u t h e n t i c a t o r 如 果 不 想 使 用 已 经 编 译 好 的 安 装 包 ， 或 者 你 的   L i n u x   发 行 版 不 在 此 列 ， 可 以 自 行 编 译 ： 在   L i n u x   上   G o o g l e   A u t h e n t i c a t o r 首 先 ， 安 装 构 建   G o o g l e   A u t h e n t i c a t o r   所 需 的 软 件 包 。 在   D e b i a n 、   U b u n t u   或   L i n u x   M i n t   上 ： $   s u d o   a p t - g e t   i n s t a l l   w g e t   m a k e   g c c   l i b p a m 0 g - d e v 在   C e n t O S 、   F e d o r a   或   R H E L 上 ： $   s u d o   y u m   i n s t a l l   w g e t   m a k e   g c c   p a m - d e v e l 然 后 下 载   G o o g l e   A u t h e n t i c a t o r   的 源 代 码 ， 并 按 如 下 命 令 编 译 。 $   w g e t     $   t a r   x v f v j   l i b p a m - g o o g l e - a u t h e n t i c a t o r - 1 . 0 - s o u r c e . t a r . b z 2 $   c d   l i b p a m - g o o g l e - a u t h e n t i c a t o r - 1 . 0 $   m a k e 如 果 构 建 成 功 ， 你 会 在 目 录 中 看 到   p a m g o o g l e a u t h e n t i c a t o r . s o   和   g o o g l e - a u t h e n t i c a t o r   两 个 文 件 。 最 后 ， 将   G o o g l e   A u t h e n t i c a t o r   安 装 到 合 适 位 置 $   s u d o   m a k e   i n s t a l l 排 错 当 编 译   G o o g l e   A u t h e n t i c a t o r   时 出 现 如 下 错 误 ： f a t a l   e r r o r :   s e c u r i t y / p a m _ a p p l . h :   N o   s u c h   f i l e   o r   d i r e c t o r y
要 修 复 这 个 问 题 ， 请 安 装 如 下 依 赖 包 。 在   D e b i a n 、   U b u n t u   或   L i n u x   M i n t   上 ： $   s u d o   a p t - g e t   i n s t a l l   l i b p a m 0 g - d e v 在   C e n t O S 、   F e d o r a   或   R H E L   上 ： $   s u d o   y u m   i n s t a l l   p a m - d e v e l 当 G o o g l e 认 证 器 安 装 好 后 ， 你 需 要 在 L i n u x 主 机 上 创 建 验 证 密 钥 ， 并 且 在 安 卓 设 备 上 注 册 ， 注 意 这 项 配 置 操 作 是 一 次 性 的 。 我 们 将 详 细 叙 述 如 何 完 成 这 些 操 作 ： 生 成 验 证 密 钥 在 L i n u x 主 机 上 运 行 G o o g l e 认 证 器 $   g o o g l e - a u t h e n t i c a t o r 你 将 看 到 一 个 Q R 码 ， 它 使 用 如 下 图 形 表 示 我 们 数 字 形 态 的 密 钥 。 一 会 我 们 要 用 到 它 在 安 卓 设 备 上 完 成 配 置 。
G o o g l e 认 证 器 会 问 一 些 问 题 ， 如 果 你 不 确 定 ， 就 回 答 " Y e s " 。 这 个 应 急 备 用 验 证 码 ( 图 中   e m e r g e n c y   s c r a t c h   c o d e s ） 可 以 在 你 由 于 丢 失 了 绑 定 的 安 卓 设 备 的 情 况 下 （ 所 以 不 能 得 到 生 成 的 一 次 性 密 码 ） 恢 复 访 问 。 最 好 将 应 急 备 用 验 证 码 妥 善 保 存 。 在 安 卓 设 备 上 运 行 G o o g l e 认 证 器 我 们 需 要 在 安 卓 设 备 上 安 装 G o o g l e   A u t h e n t i c a t o r   a p p 才 能 完 成 双 因 子 认 证 ， 到 G o o g l e   P l a y 下 载 并 安 装 一 个 。 在 安 卓 设 备 上 运 行 G o o g l e 认 证 器 ， 找 到 下 图 所 示 中 的 配 置 菜 单 。
你 可 以 选 择 " S c a n   a   b a r c o d e "   或 者 " E n t e r   p r o v i d e d   k e y " 选 项 。 " S c a n   a   b a r c o d e " 允 许 你 扫 描 Q R 码 来 完 成 密 钥 的 输 入 ， 在 此 可 能 需 要 先 安 装 扫 描 软 件 B a r c o d e   S c a n n e r   a p p 。 如 果 选 择 " E n t e r   p r o v i d e d   k e y " 选 项 ， 你 可 以 使 用 键 盘 输 入 验 证 密 钥 ， 如 下 图 所 示 ：
无 论 采 用 上 述 两 种 选 项 的 任 何 方 式 ， 一 旦 成 功 ， 你 将 看 到 注 册 成 功 提 示 和 一 次 性 密 码 ， 如 下 图 所 示 ：
为 S S H 服 务 器 用 G o o g l e 认 证 器 最 终 我 们 需 要 修 改 两 个 文 件 来 完 成 集 成 G o o g l e 认 证 器 和 O p e n S S H 服 务 这 临 门 一 脚 。 首 先 ， 修 改 P A M 配 置 文 件 ， 命 令 和 需 添 加 的 内 容 如 下 ： $   s u d o   v i   / e t c / p a m . d / s s h d a u t h   r e q u i r e d   p a m _ g o o g l e _ a u t h e n t i c a t o r . s o 然 后 打 开 S S H 配 置 文 件 ， 找 到 参 数 C h a l l e n g e R e s p o n s e A u t h e n t i c a t i o n ， 并 启 用 它 。 $   s u d o   v i   / e t c / s s h / s s h d _ c o n f i g C h a l l e n g e R e s p o n s e A u t h e n t i c a t i o n   y e s 最 后 ， 重 启 S S H 服 务 。 在   U b u n t u 、   D e b i a n   和   L i n u x   M i n t   上 ： $   s u d o   s e r v i c e   s s h   r e s t a r t 在 F e d o r a   （ 或   C e n t O S / R H E L   7 ） 上 ：
$   s u d o   s y s t e m c t l   r e s t a r t   s s h d 在 C e n t O S   6 . x 或   R H E L   6 . x 上 ： $   s u d o   s e r v i c e   s s h d   r e s t a r t 验 证 双 因 子 认 证 在 绑 定 的 安 卓 设 备 上 运 行 G o o g l e 认 证 器 ， 获 得 一 个 一 次 性 验 证 码 ， 该 验 证 码 3 0 秒 内 有 效 ， 一 旦 过 期 ， 将 重 新 生 成 一 个 新 的 验 证 码 。 现 在 和 往 常 一 样 ， 使 用 S S H 登 录 终 端 $   s s h   u s e r @ s s h _ s e r v e r 当 提 示 你 输 入 验 证 码 的 时 候 ， 输 入 我 们 刚 获 得 的 验 证 码 。 验 证 成 功 后 ， 再 输 入 S S H 的 登 录 密 码 。
双 因 子 认 证 通 过 在 用 户 密 码 前 新 增 一 层 来 有 效 的 保 护 我 们 脆 弱 的 用 户 密 码 。 你 可 以 使 用 G o o g l e 认 证 器 来 保 护 我 们 其 他 的 密 码 ， 如 G o o g l e 账 户 , W o r d P r e s s . c o m ,   D r o p b o x . c o m ,   O u t l o o k . c o m 等 等 。 是 否 使 用 这 项 技 术 ， 取 决 于 我 们 自 己 ， 但 采 用 双 因 子 认 证 已 经 是 行 业 的 大 趋 势 了 。 v i a :   h t t p : / / x m o d u l o . c o m / 2 0 1 4 / 0 7 / t w o - f a c t o r - a u t h e n t i c a t i o n - s s h - l o g i n - l i n u x . h t m l 译 者 ： n d 0 1 0 4   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理